Actualités
Décryptages, vulnérabilités, réglementation et tendances : comprendre ce qui change réellement en cybersécurité.
Chaque analyse distingue explicitement les faits confirmés, notre lecture et ce qui reste incertain. Toute donnée chiffrée est publiée avec sa source, sa date, sa population et son périmètre.
À la uneVulnérabilités
GitLab a publié le 10 septembre 2026 un correctif critique pour CVE-2026-85706, une traversée de répertoire notée 10.0 exploitée avant même la fin du déploiement des mises à jour. Ce que lit réellement un attaquant, et pourquoi le correctif ne clôt pas le dossier.
Lire l’analyse
Vulnérabilités
Le 17 septembre 2026, Nextcloud a publié le bulletin GHSA-7hwf-8pcj-33h4 et le CERT-FR l'avis CERTFR-2026-AVI-1198. La vulnérabilité passe par la génération d'aperçus de fichiers et par ImageMagick. Conditions d'exploitation, versions corrigées, contournements et discipline d'administration.
Lire l’analyse
Vulnérabilités
Le CERT-FR a publié le 16 septembre 2026 un avis sur une vulnérabilité de Netgate pfSense permettant une exécution de code à distance. Conditions réelles d'exploitation, versions concernées, et pourquoi la compromission d'un pare-feu ne se traite pas comme celle d'un serveur ordinaire.
Lire l’analyse
Vulnérabilités
Le CERT-FR a publié le 14 septembre 2026 un avis couvrant une vingtaine de vulnérabilités dans MISP. L'occasion d'examiner une question rarement posée : qui surveille les outils qui surveillent, et que vaut une plateforme de renseignement dont l'intégrité n'est plus garantie ?
Lire l’analyse
Vulnérabilités
CVE-2026-75650, notée 10.0, permet une exécution de code sans authentification sur Adobe Commerce et Magento Open Source. Exploitée avant la publication du correctif, elle impose bien plus qu'une mise à jour : rotation des clés, recherche d'implants et vérification du parcours de paiement.
Lire l’analyse
Vulnérabilités
Google a corrigé le 3 septembre 2026 une vulnérabilité de son moteur V8 pour laquelle un exploit existe déjà. Le correctif est disponible en quelques heures ; son application sur un parc de plusieurs milliers de postes prend des jours. Comment réduire cet écart.
Lire l’analyse
Vulnérabilités
Le 1er septembre 2026, SonicWall a publié deux vulnérabilités activement exploitées sur les appliances SMA 1000. L'éditeur et le CERT-FR demandent bien plus qu'une mise à jour : réinstallation, changement des mots de passe, réinitialisation des jetons. Explication de la différence entre correction, éradication et reconstruction.
Lire l’analyse
Menaces
Un compte de mainteneur compromis suffit à atteindre des dizaines de milliers d'environnements en quelques heures. Analyse des mécanismes d'attaque documentés en 2026 sur npm, PyPI et les registres d'images, et des mesures qui réduisent réellement l'exposition.
Lire l’analyse
Menaces
Le hameçonnage vocal est devenu le deuxième vecteur d'accès initial observé par Mandiant en 2025, devant le courriel. Analyse de campagnes documentées, du mécanisme d'interception du second facteur, et des défenses qui fonctionnent réellement.
Lire l’analyse
Vulnérabilités
CVE-2026-72898 permettait de devenir administrateur d'une instance Metabase sans aucun identifiant. L'analyse publiée par l'éditeur montre quatre comportements isolément défendables qui, mis bout à bout, produisent une vulnérabilité notée 10.0.
Lire l’analyse
Données
45 % des Français déclarent avoir été informés d’une fuite de leurs données personnelles, contre 30 % un an plus tôt. Ce que mesure vraiment ce chiffre, comment les personnes notifiées réagissent, et quoi faire — côté particulier comme côté entreprise.
Lire l’analyse
Intelligence artificielle
L’autorité espagnole de protection des données a publié le 14 septembre 2026 la première notification d’une violation de données qui aurait été exécutée au moyen d’un agent IA. Faits, analyse, incertitudes et conséquences défensives.
Lire l’analyse
Réglementation
Depuis le 11 septembre 2026, les fabricants doivent signaler vulnérabilités activement exploitées et incidents graves via la plateforme unique de l’ENISA. Délais, définitions, fonctionnement de la SRP et rôle du CERT-FR.
Lire l’analyse
France
Le 7 septembre 2026, l’ANSSI a annoncé REACTIV, une capacité renforcée de réaction dédiée aux services de l’État. Ce qui est réellement annoncé, pourquoi les compromissions de comptes sont critiques, et ce qu’une organisation privée peut en retenir.
Lire l’analyse
Menaces
128 compromissions par rançongiciel portées à la connaissance de l’ANSSI en 2025, PME et santé en première ligne, extorsion sans chiffrement : ce que disent réellement les chiffres français, et ce qui réduit le risque.
Lire l’analyse